标准机构发布物联网安全测试指南

领先的行业标准社区发布了其首个物联网安全产品测试指南，以推动独立的基准测试和认证工作。

反恶意软件测试标准组织 ( AMTSO ) 表示，其《物联网安全产品测试指南》文档是根据测试人员和供应商的意见编写的。

AMTSO 董事会成员 Vlad Iliushin 认为这是一个目前服务不足的空间，这意味着用户对市场上产品的优缺点仍然没有足够的了解。

“物联网安全解决方案的测试与反恶意软件测试完全不同，因为它们需要保护企业和家庭中大量不同的智能设备，因此测试环境的设置可能具有挑战性，”他补充道。

“此外，由于智能设备大多主要在 Linux 上运行，因此测试人员必须使用这些设备容易受到攻击的特定威胁样本，以使他们的评估具有相关性。通过我们的指导方针，我们解决了这些特殊性，希望它们提供有价值的指导，为公平的物联网安全测试设定方向。”

物联网安全产品测试指南包括以下六个关键部分：

一般原则：所有测试和基准测试都应侧重于验证所提供保护的最终结果和性能，而不是产品在后端的运行方式。因此，指南建议，只要结果相同，就不应在使用机器学习或制造商使用说明等产品的产品之间进行评级差异。

样品选择：该指南为针对物联网安全解决方案基准测试选择正确样本的挑战提供了指导。对于相关测试，测试人员需要选择仍处于活动状态且实际针对智能设备运行的操作系统的样本。该指南还建议，理想情况下，样本可以分为工业和非工业，进一步分为操作系统、CPU 架构和严重性评分。

确定“检测”：在检测和采取的措施方面，物联网安全解决方案与传统网络安全产品的工作方式大不相同，例如，一些解决方案将简单地检测和阻止威胁而不通知用户。该指南建议将威胁与可由测试人员控制的管理控制台一起使用，或者使用在进行攻击时可以看到攻击的设备。另一种选择是通过网络嗅探观察设备“受到攻击”。

测试环境：在理想情况下，所有测试和基准测试都将在使用真实设备的可控环境中执行。但是，设置可能很复杂，如果测试人员决定不在测试环境中使用真实设备，建议他们通过在禁用安全设备的安全功能的情况下运行所需的场景并检查攻击执行来验证他们的方法和成功。该指南还就使用 Raspberry Pi 等真实设备的替代品来模仿真实的物联网设备以及创建定制的物联网恶意软件样本（如 Mirai）提供建议，以测试从未见过的恶意软件。

测试特定的安全功能：指南包含针对不同攻击阶段的建议，包括侦察、初始访问和执行。他们概述了单独测试每个阶段与同时经历整个攻击的可能性。对此的选择应记录在测试方法中。此外，指南建议将平台无关测试视为当今许多威胁针对多种架构，并可用于物联网和非物联网设备等。

性能基准测试：指南还提供了有关性能基准测试的注意事项，例如建议区分各种用例，例如消费者与企业，或延迟的严重性或每个协议的吞吐量降低，这取决于其目的。

Vulcan Cyber的高级技术工程师 Mike Parkin认为物联网设备很难修补，这意味着它们依赖外部安全工具来帮助保护攻击面。

通过 AMTSO 的指导方针，组织可以更好地了解哪些工具最有效且最适合他们的环境。

这遵循反恶意软件、反病毒和防火墙的各种其他测试标准。新标准在实践中的有效性还有待观察，但这是一个很好的起点。

物联网安全产品测试指南、其他指南和标准文档可在以下网址下载：

https ://www.amtso.org/documents/

上列文件无法访问下载关注回复 20220905 获取

关于 AMTSO：
AMTSO 是网络安全行业的测试标准社区，由来自世界各地的 60 多家安全和测试成员公司组成。该组织为反恶意软件测试和其他网络安全产品评估的客观标准和最佳实践提供知识共享和协作平台。AMTSO 标准提高了网络安全测试的标准，有助于提高行业的公平性，并为寻求最佳数字保护的消费者和企业创造透明度。